Cara Menyiapkan Fail2Ban Di CentOS

• Pengenalan kepada Fail2Ban
• Memasang Fail2Ban
• Mengkonfigurasi tetapan Fail2Ban
• Mengkonfigurasi Fail2Ban untuk melindungi SSH
• Memulakan perkhidmatan Fail2Ban
• Cara mengesan percubaan log masuk yang gagal

Pengenalan kepada Fail2Ban

Secara lalai, klien menyambung ke SSH menggunakan port 22. Kerana ini adalah port yang terkenal, konfigurasi lalai rentan terhadap banyak serangan brute force. Fail2Ban adalah penyelesaian untuk melindungi pelayan secara automatik dari serangan ini. Program ini berjalan di latar belakang, mengimbas fail log untuk mengesan IP mana yang menyerang dan secara automatik melarang mereka mengakses SSH.

Memasang Fail2Ban

Dalam tutorial ini, kami akan memasang Fail2Ban di CentOS 6 melalui repositori EPEL. Jalankan arahan berikut.

yum install epel-release
yum install fail2ban

Penjelasan

• yum install epel-release: Memasang repositori EPEL (Pakej Tambahan untuk Enterprise Linux).
• yum install fail2ban: Memasang Fail2Ban dari repositori EPEL.

Mengkonfigurasi tetapan Fail2Ban

Buka fail konfigurasi Fail2Ban.

nano /etc/fail2ban/jail.conf

Di dalam fail, anda akan melihat beberapa parameter seperti yang ditunjukkan di bawah. Sesuaikan mana-mana nilai mengikut keperluan anda.

[DEFAULT]

# "ignoreip" can be an IP address, a CIDR mask or a DNS host. Fail2ban will not
# ban a host which matches an address in this list. Several addresses can be
# defined using space separator.
ignoreip = 127.0.0.1

# "bantime" is the number of seconds that a host is banned.
bantime = 600

# A host is banned if it has generated "maxretry" during the last "findtime"
# seconds.
findtime = 600

# "maxretry" is the number of failures before a host get banned.
maxretry = 3

Penjelasan

• ignoreip: Jangan melarang host yang sesuai dengan alamat dalam senarai ini. Beberapa alamat dapat ditentukan menggunakan pemisah ruang. Tuliskan IP peribadi anda di baris ini.
• bantime: Bilangan saat yang dilarang oleh hos.
• findtime: Tuan rumah dilarang jika telah dihasilkan maxretrysemasa terakhir findtime.
• maxretry: Jumlah kegagalan sebelum tuan rumah dilarang.

Mengkonfigurasi Fail2Ban untuk melindungi SSH

Pertama, kita perlu membuat fail konfigurasi.

nano /etc/fail2ban/jail.local

Salin baris di bawah dan tampal ke fail.

[ssh-iptables]

enabled  = true
filter   = sshd
action   = iptables[name=SSH, port=ssh, protocol=tcp]
#           sendmail-whois[name=SSH, dest=root, [email protected]]
logpath  = /var/log/secure
maxretry = 5

• enabled: Aktifkan perlindungan. Sekiranya anda mahu mematikannya, ubah nilainya menjadi false.
• filter: Secara lalai, diset ke sshd yang merujuk pada file /etc/fail2ban/filter.d/sshd.conf.
• action: Fail2Ban akan melarang IP yang sesuai dengan penapis /etc/fail2ban/action.d/iptables.conf. Sekiranya sebelum ini anda menukar port SSH, ubah port=sshke port baru, misalnya port=2222. Sekiranya anda menggunakan port 22, anda tidak perlu menukar nilainya.
• logpath: Laluan fail log yang digunakan oleh Fail2Ban.
• maxretry: Jumlah maksimum percubaan log masuk yang gagal.

Memulakan perkhidmatan Fail2Ban

Jalankan dua arahan berikut untuk memulakan perkhidmatan Fail2Ban:

chkconfig --level 23 fail2ban on
service fail2ban start

Akhirnya, periksa iptablesuntuk mengetahui apakah ia mempunyai peraturan yang ditambahkan oleh Fail2Ban.

iptables -L

Hasilnya akan kelihatan serupa dengan output ini.

Chain INPUT (policy ACCEPT)
target prot opt source destination
f2b-SSH tcp -- anywhere anywhere tcp dpt:EtherNet/IP-1

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain f2b-SSH (1 references)
target prot opt source destination
RETURN all -- anywhere anywhere

Cara mengesan percubaan log masuk yang gagal

Anda boleh menggunakan perintah ini untuk memeriksa apakah pelayan anda telah gagal melakukan percubaan masuk (kemungkinan serangan).

cat /var/log/secure | grep 'Failed password'

Hasilnya akan kelihatan serupa dengan garis-garis ini.

Dec  6 22:47:12 vultr sshd[7942]: Failed password for root from 43.229.53.67 port 23021 ssh2
Dec  6 22:47:15 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:16 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:18 vultr sshd[7944]: Failed password for root from 43.229.53.67 port 40996 ssh2
Dec  6 22:47:31 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:34 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:36 vultr sshd[7948]: Failed password for root from 43.229.53.67 port 29907 ssh2
Dec  6 22:47:39 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:41 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:43 vultr sshd[7950]: Failed password for root from 43.229.53.67 port 48386 ssh2
Dec  6 22:47:47 vultr sshd[7952]: Failed password for root from 43.229.53.67 port 62846 ssh2
Dec  6 22:47:49 vultr sshd[7952]: Failed password for root from 43.229.53.67 port 62846 ssh2

Untuk melihat IP mana yang telah dilarang, gunakan perintah berikut.

iptables -L -n

Untuk menghapus alamat IP dari senarai yang dilarang, jalankan perintah berikut. Tukar banned_ipke IP yang anda mahu batalkan pembatalannya.

iptables -D f2b-SSH -s banned_ip -j DROP